Exchange 2016: 451 4.7.0 Temporary server error. Please try again later. PRX2

Vor längerer Zeit hatte ich schon einmal auf den folgenden Fehler hingewiesen, hier in Zusammenhang mit Exchange 2013:

• Exchange 2013: 451 4.7.0 Temporary server error. Please try again later. PRX2

Wenn E-Mails nicht zugestellt werden können und Exchange den Fehler “451 4.7.0 Temporary server error. Please try again later. PRX2” in den Warteschlangen anzeigt, kann dies aber noch einen weiteren Grund haben. Dies gilt sowohl für Exchange 2013 als auch für Exchange 2016/2019.

Ursache des Fehlers sind nahezu immer Probleme mit dem DNS und zwar nicht immer zwingend am DNS-Server selbst, wie im oben verlinkten Artikel beschrieben, sondern auch an den DNS Einstellungen des Exchange Servers.

Gerade in sehr kleinen Umgebungen findet sich oft die folgende DNS Konfiguration auf Servern und Clients:

In sehr kleinen Umgebungen gibt es beispielsweise nur einen Domain Controller, welcher auch als DNS Server genutzt wird. In diesem Beispiel hat der DC die IP 192.168.100.1 und ist als bevorzugter DNS Server eingestellt. Da es keinen weiteren DC als DNS Server gibt, wird hier häufig ein DNS Forwarder als alternativer DNS-Server eingetragen, hier in diesem Beispiel der Router.

Der Grund warum hier beispielsweise ein Router als alternativer DNS-Server angegeben wird: Wenn der DC ausfällt, habe ich wenigstens noch eine Namensauflösung und kann beispielsweise im Internet surfen. Wenn natürlich der einzige Domain Controller ausfällt, hat man allerdings trotzdem ein Problem: Ohne DNS und Active Directory funktioniert auch Exchange nicht mehr. Im Internet kann man dann vielleicht noch surfen, viel mehr geht aber nicht mehr.

Mit dieser Konfiguration hat Exchange aber ein Problem. Exchange benutzt alle konfigurierten DNS-Server, nicht nur den bevorzugten DNS Server. Dies macht ja auch Sinn, denn so erreicht man auf sehr einfache Weise eine einfache Lastverteilung über alle konfigurierten DNS Server.

In den meisten kleinen Umgebungen kann aber beispielsweise der Router nicht die DNS-Zonen des Active Directory auflösen. Router und diverse andere alternative “Nicht-DC-DNS-Server” leiten DNS-Abfragen zwar an DNS-Server im Internet weiter, können aber mit DNS-Abfragen an die “Underscore Zones (Bsp: _msdcs)” nichts anfangen und liefern ein NX-Domain (Domain oder Eintrag existiert nicht) zurück.

In diesem Beispiel würde also eine DNS-Abfrage für “gc._msdcs.frankysweb.local” gegen den bevorzugten DNS-Server (Domain Controller) erfolgreich sein und die IP Adresse des Domain Controllers liefern. Die gleiche DNS-Anfrage an den Router würde jedoch mit “non-existent domain (NX-Domain)” beantwortet werden:

Hier ist auch der Grund für den Fehler “451 4.7.0 Temporary server error. Please try again later. PRX2”, Exchange findet seinen Domain Controller nicht mehr, bzw. kann relevante DNS-Einträge nicht auflösen.

Lösung:

In solch kleinen Umgebungen kann auf den alternativen DNS Server für Exchange Server verzichtet werden. Fällt der Domain Controller aus, hat man eh ein Problem und den Exchange Server wird eh niemand zum surfen benutzen.

Bei einigen Routern ist es möglich DNS-Weiterleitungen zu konfigurieren. Beispielsweise lässt sich konfigurieren, dass alle Anfragen an _msdcs.frankysweb.local an den Domain Controller weitergeleitet werden. Hilft bei nur einem Domain Controller natürlich auch nur bedingt (bedingt im Sinne von “gar nicht”)…

Dieses Problem kann übrigens auch in Umgebungen mit zwei oder mehr Domain Controllern auftreten, denn auch hier müssen alle konfigurierten DNS-Server in der Lage sein, die “Underscore Zones” aufzulösen.